HDS v2.0

La certification HDS v2.0 est obligatoire en France pour garantir la sécurité, la confidentialité et l'intégrité des données de santé. Elle s'applique aux organisations hébergeant des données de santé protégées. Le cadre HDS v2.0 publié en mai 2024 remplace le cadre HDS précédent établi en 2018.

HDS v2.0 apporte plusieurs améliorations, notamment un accent renforcé sur la souveraineté des données. Les principaux changements incluent le stockage obligatoire des données dans l'Espace économique européen (EEE), une transparence accrue concernant les transferts internationaux et l'alignement sur la norme ISO 27001:2022 pour un système de gestion de la sécurité des informations robuste.

Oui, Google Cloud est passé de la certification HDS à HDS v2.0 en juillet 2025. Cette réussite fait de nous l'un des premiers fournisseurs de services cloud hyperscale à être certifié HDS v2.0, ce qui témoigne de notre engagement à fournir une plate-forme basée sur les principes les plus stricts de confiance, de sécurité et de conformité.

Vous trouverez les certificats Google ici : 

• Certificat HDS v2.0 de Google Cloud
• Certificat HDS v2.0 de Google Workspace

Ils sont également disponibles dans la section "Liens rapides" en haut de la page Web.

Notre certificat indique les dates de délivrance et de renouvellement de la certification, les activités couvertes et les produits concernés par ces activités.

La certification HDS v2.0 introduit de nouvelles exigences de souveraineté afin de renforcer les garanties de protection des données. Elle exige notamment que les données de santé à caractère personnel soient stockées exclusivement dans l'EEE. 

La portée de nos certificats a été alignée sur la capacité de Google Cloud et de Google Workspace à stocker des données dans l'EEE. Les clients doivent garder à l'esprit que, dans ce cadre, seuls certains produits sont certifiés pour le stockage des informations personnelles sur la santé dans l'EEE. Veuillez consulter les sections "Produits concernés" de la page Web pour savoir quels produits bénéficient de cette certification. Ces sections listent tous les produits concernés par les activités (conformément aux listes d'origine figurant dans les certificats). Les clients doivent également noter que, pour les produits listés, il leur appartient de sélectionner une région ou un emplacement multirégional spécifique comme indiqué sur la page des emplacements cloud.

Vous trouverez des informations spécifiques sur les emplacements de traitement des données et sur les obligations de Google Cloud concernant la localisation des données, y compris en ce qui concerne les exigences légales et réglementaires régionales, dans l'Avenant relatif au traitement des données dans le cloud et les Conditions spécifiques aux services applicables.

HDS v2.0 standardise un tableau de représentation des garanties, qui définit les informations supplémentaires requises concernant l'hébergement des données de santé protégées.

Vous trouverez le tableau de représentation des garanties Google ici : 

• Représentation des garanties

Il est également disponible dans la section "Liens rapides" en haut de la page Web.

La certification HDS v2.0 intègre les dernières évolutions de la norme internationale ISO 27001. Elle est donc non seulement conforme à la réglementation française, mais aussi aux bonnes pratiques de cybersécurité internationales. 

Pour une vue d'ensemble exhaustive de nos mesures de sécurité et de protection des données, y compris de nos contrôles organisationnels et techniques, veuillez consulter les pages sur la sécurité Google.

Google Cloud s'engage à accompagner ses clients soumis aux règles du Code de la santé publique français concernant la sécurité et la protection des données de santé protégées.

Il est important de noter que le respect de ces règles relève d'une responsabilité partagée entre le client et Google. Plus précisément, si Google Cloud fournit une infrastructure sécurisée pour le stockage et le traitement des données de santé protégées, le client est responsable de la configuration et de la sécurisation adéquates de l'environnement et des applications qu'il crée sur Google Cloud, conformément à ses obligations de conformité. L'une des principales responsabilités du client consiste à déterminer s'il a besoin ou non d'un espace de stockage dans l'EEE. Comme indiqué ci-dessus, Google Cloud propose des options de stockage dans l'EEE, mais il appartient aux clients de sélectionner la région ou l'emplacement multirégional approprié pour leurs charges de travail. 

Par ailleurs, des conditions contractuelles obligatoires doivent être incluses dans le contrat d'hébergement de données de santé à caractère personnel par Google Cloud (hébergeur) pour le compte d'un prestataire de santé, d'une organisation dans le secteur des sciences de la vie ou d'un éditeur de logiciels (client). Google Cloud propose des conditions contractuelles pour Google Cloud et Google Workspace afin de répondre à ces exigences, mais il appartient en définitive aux clients d'évaluer leur propre conformité.

Les conditions contractuelles incluent un avenant HDS que les clients peuvent accepter via leur console Google Cloud s'ils estiment que ces conditions contractuelles avec Google Cloud sont nécessaires pour répondre à leurs obligations de conformité.

Veuillez contacter votre représentant Google Cloud pour en savoir plus.